(57)【要約】【課題】  サーバの緊急事態における迅速な対応とネットワーク管理の運用コスト削減を実現する。【解決手段】  ネットワーク管理装置は、受信したイベント通知に含まれるログまたはアラートに基づき当該イベントの種別を分類し、この分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、この計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該閾値を越えたイベントに関する情報を生成し、この生成されたイベントに関する情報に基づき予め定められた制御実行命令を生成して被管理装置に送出する。または、受信した負荷量の情報に基づき負荷量が閾値を越えたときには予め定められた制御実行命令を生成して被管理装置に送出する。【選択図】  図１
2006237842.tif 000002
【特許請求の範囲】
【請求項１】
１つ以上の外部装置と直接、または、ネットワークを介して接続され、
前記外部装置と被評価装置との間の通信を制御する通信制御手段を備えた１つ以上の被管理装置と、
前記被管理装置を介して前記外部装置と通信し、該通信状況または通信障害発生状況を含むイベント通知を送出するイベント通知手段を備えた被評価装置と、
前記イベント通知を受信するイベント通知受信手段を備えたネットワーク管理装置と
から構成されるネットワーク制御システムであって、
前記ネットワーク管理装置は、
前記イベント通知受信手段により受信した前記イベント通知に基づき当該イベントの種別を分類するイベント種別分類手段と、
前記イベント分類手段により分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、該計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該イベントに関する情報を生成するイベント情報生成手段と、
前記イベント情報生成手段により生成された前記イベントに関する情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する制御実行命令送出手段と
を備えることを特徴とするネットワーク制御システム。
【請求項２】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行う手段を備え、
前記被評価装置は、前記通信状況または通信障害発生状況を含むログを生成するログ生成手段またはトラヒックの異常あるいは侵入攻撃を検知してその検知結果を含むアラートを生成するアラート生成手段を備え、
前記イベント通知は、前記ログ生成手段または前記アラート生成手段により生成された前記ログまたは前記アラートを含む
ことを特徴とする請求項１記載のネットワーク制御システム。
【請求項３】
１つ以上の外部装置と直接、または、ネットワークを介して接続され、
前記外部装置と第一または第二の被評価装置との間の通信を制御する通信制御手段を備えた１つ以上の被管理装置と、
前記被管理装置を介して前記外部装置と通信し、該通信状況または通信障害発生状況を含むイベント通知を送出するイベント通知手段を備えた第一の被評価装置と、
前記被管理装置を介して前記外部装置と通信し、前記外部装置に関わる負荷量の情報を送出する負荷量情報送出手段を備えた第二の被評価装置と、
前記イベント通知または前記負荷量の情報を受信するトラヒック情報受信手段を備えたネットワーク管理装置と
から構成されるネットワーク制御システムであって、
前記ネットワーク管理装置は、
前記トラヒック情報受信手段により受信した前記イベント通知に基づき当該イベントの種別を分類するイベント種別分類手段と、
前記イベント分類手段により分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、該計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該イベントに関する情報を生成するイベント情報生成手段と、
前記イベント情報生成手段により生成された前記イベントに関する情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する、または、前記トラヒック情報受信手段により受信した前記負荷量の情報に基づき該負荷量が閾値を越えたときには該負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する制御実行命令送出手段を備えることを特徴とするネットワーク制御システム。
【請求項４】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行う手段を備え、
前記第一の被評価装置は、前記通信状況または通信障害発生状況を含むログを生成するログ生成手段またはトラヒックの異常あるいは侵入攻撃を検知してその検知結果を含むアラートを生成するアラート生成手段を備え、
前記イベント通知は、前記ログ生成手段または前記アラート生成手段により生成された前記ログまたは前記アラートを含み、
前記第二の被評価装置は、前記外部装置に関わる通信処理またはデータ演算処理を行う計算処理部を備え、
前記負荷量の情報は、該計算処理部における負荷量の情報を含む
ことを特徴とする請求項３記載のネットワーク制御システム。
【請求項５】
前記制御実行命令送出手段は、
前記イベント情報生成手段により前記イベントに関する情報が生成され、なおかつ、前記トラヒック情報受信手段により受信した前記負荷量の情報に基づき負荷量が閾値を越えたという条件が満たされたときに、前記イベントに関する情報に基づき予め定められた制御実行命令または前記負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する
ことを特徴とする請求項３または４記載のネットワーク制御システム。
【請求項６】
前記ネットワーク管理装置は、前記制御実行命令の生成に際し、当該制御実行命令を生成する基となった前記イベントに関する情報に含まれる不正ユーザに関する情報を制御実行命令の一部に書き込む不正ユーザ情報書き込み手段を備え、
前記被管理装置は、前記ネットワーク管理装置から受け取った前記制御実行命令に含まれる前記不正ユーザに関する情報に基づき不正ユーザのトラヒックを特定する不正ユーザ特定手段を備えた
ことを特徴とする請求項１ないし５のいずれかに記載のネットワーク制御システム。
【請求項７】
１つ以上の外部装置と直接、または、ネットワークを介して接続され、
前記外部装置と被評価装置との間の通信を制御する通信制御手段を備えた１つ以上の被管理装置と、
前記被管理装置を介して前記外部装置と通信し、前記外部装置に関わる負荷量の情報を送出する負荷量情報送出手段を備えた被評価装置と、
前記負荷量の情報を受信するトラヒック情報受信手段を備えたネットワーク管理装置と
から構成されるネットワーク制御システムであって、
前記ネットワーク管理装置は、
前記トラヒック情報受信手段により受信した前記負荷量の情報に基づき該負荷量が閾値を越えたときには該負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する制御実行命令送出手段を備えることを特徴とするネットワーク制御システム。
【請求項８】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行う手段を備え、
前記被評価装置は、前記前記外部装置に関わる通信処理またはデータ演算処理を行う計算処理部を備え、
前記負荷量の情報は、該計算処理部における負荷量の情報を含む
ことを特徴とする請求項７記載のネットワーク制御システム。
【請求項９】
請求項１または２または６記載のネットワーク制御システムに適用されるネットワーク制御方法であって、
前記ネットワーク管理装置は、
受信した前記イベント通知に基づき当該イベントの種別を分類するステップと、
該ステップにより分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、該計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該イベントに関する情報を生成するステップと、
該ステップにより生成された前記イベントに関する情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するステップと
を実行することを特徴とするネットワーク制御方法。
【請求項１０】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行うステップを実行し、
前記被評価装置は、前記通信状況または通信障害発生状況を含むログを生成するステップまたはトラヒックの異常あるいは侵入攻撃を検知してその検知結果を含むアラートを生成するアラートステップを実行し、
前記イベント通知は、生成された前記ログまたは前記アラートを含む
ことを特徴とする請求項９記載のネットワーク制御方法。
【請求項１１】
請求項３ないし６のいずれかに記載のネットワーク制御システムに適用されるネットワーク制御方法であって、
前記ネットワーク管理装置は、
受信した前記イベント通知に基づき当該イベントの種別を分類するステップと、
該ステップにより分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、該計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該イベントに関する情報を生成するステップと、
該ステップにより生成された前記イベントに関する情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する、または、受信した前記負荷量の情報に基づき該負荷量が閾値を越えたときには該負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するステップを実行することを特徴とするネットワーク制御方法。
【請求項１２】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行うステップを実行し、
前記第一の被評価装置は、前記通信状況または通信障害発生状況を含むログを生成するステップまたはトラヒックの異常あるいは侵入攻撃を検知してその検知結果を含むアラートを生成するアラートステップを実行し、
前記イベント通知は、生成された前記ログまたは前記アラートを含み、
前記第二の被評価装置は、前記前記外部装置に関わる通信処理またはデータ演算処理を行うステップを実行し、
前記負荷量の情報は、該計算処理部における負荷量の情報を含む
ことを特徴とする請求項１１記載のネットワーク制御方法。
【請求項１３】
前記イベントに関する情報が生成され、なおかつ、受信した前記負荷量の情報に基づき負荷量が閾値を越えたという条件が満たされたときに、前記イベントに関する情報に基づき予め定められた制御実行命令または前記負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するステップを実行する
ことを特徴とする請求項１１または１２記載のネットワーク制御方法。
【請求項１４】
前記ネットワーク管理装置は、前記制御実行命令の生成に際し、当該制御実行命令を生成する基となった前記イベントに関する情報に含まれる不正ユーザに関する情報を制御実行命令の一部に書き込むステップを実行し、
前記被管理装置は、前記ネットワーク管理装置から受け取った前記制御実行命令に含まれる前記不正ユーザに関する情報に基づき不正ユーザのトラヒックを特定するステップを実行する
ことを特徴とする請求項１０ないし１３のいずれかに記載のネットワーク制御方法。
【請求項１５】
請求項７または８記載のネットワーク制御システムに適用されるネットワーク制御方法であって、
前記ネットワーク管理装置は、
受信した前記負荷量の情報に基づき該負荷量が閾値を越えたときには該負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するステップを実行することを特徴とするネットワーク制御方法。
【請求項１６】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行うステップを実行し、
前記被評価装置は、前記前記外部装置に関わる通信処理またはデータ演算処理を行うステップを実行し、
前記負荷量の情報は、該計算処理部における負荷量の情報を含む
ことを特徴とする請求項１５記載のネットワーク制御方法。
【請求項１７】
情報処理装置にインストールすることにより、その情報処理装置に、請求項１０ないし１６のいずれかに記載のネットワーク制御方法に相応する手順を実行させることを特徴とするプログラム。
【請求項１８】
請求項１７記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク内で生成される各種イベントを評価して管理する装置に利用する。特に、不正アクセスを検知して防御する技術に関する。
【背景技術】
【０００２】
近年、インターネットなどのネットワークに接続されたＷｅｂサーバ、ＦＴＰサーバに格納した情報に、リモートコンピュータからアクセスできるサービスが行われている。これらのサーバに対して、不正なリモートユーザからの侵入攻撃を検知する目的で侵入検知システム（ＩＤＳ:Intrusion Detection System)を用いた監視が行われている（例えば、非特許文献１参照）。
【０００３】
従来技術のＩＤＳでは、得られる検知結果（アラート）をオペレータが人手で解析し、重要なアラートとそうでないアラートとを見分ける必要がある。しかし、ＩＤＳから得られるアラート量は膨大になり、上記の解析作業に膨大な時間がかかる問題があった。
【０００４】
また、従来の監視目的、または人手解析によるＩＤＳの運用では、サーバが不正なリモートユーザからの膨大な数の侵入攻撃を受けているとき、サーバが過負荷状態に陥り、リクエストを正常に処理できなくなるか、システムダウンを起こし、正常なユーザのトラヒック、リクエストまで無効にしてしまう状況が起きていた。
【０００５】
また、一時に膨大な数のリクエストがサーバに集中した場合には、従来のＩＤＳでは、リクエスト数を絞る（落とす）処理ができないため、サーバの過負荷状態を防げない問題があった。
【０００６】
【非特許文献１】「侵入検知システムに関する研究の現状」、武田圭史、情報処理、４２巻１２号、２００１年１２月発行
【非特許文献２】「ネットワークＱｏＳ技術」、戸田巌著、オーム社出版
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上記の従来技術では、Ｗｅｂなどのサーバ、ＩＤＳから得られる検知結果（アラート）やログなどの情報の重要度の分類や解析を人手で行っていたために、処理に時間がかかっていた。また、上記分類と解析の後、重要なアラートを基にしたトラヒック規制をかける必要性が生じても、人手でルータなどの被管理装置にトラヒック規制の設定を行う必要があり、時間がかかり、運用コストが大きくなる問題があった。また、ＩＤＳの誤検知による正常ユーザへの影響を回避することや、サーバ過負荷状態を回避することが困難である問題があった。
【０００８】
本発明の目的は、Ｗｅｂサーバ、ＩＤＳなどの被評価装置から得られる情報の重要度を自動的に識別し、その重要度に応じたネットワーク制御を自動的に行うことにより、サーバの緊急事態における迅速な対応とネットワーク管理の運用コスト削減を実現するネットワーク制御システムを提供することにある。
【０００９】
また、本発明の第二の目的は、サーバが過負荷に陥ったときに、不正リモートユーザのトラヒックを優先的に規制することによりサーバ運用を安定させるネットワーク制御システムを提供することにある。
【００１０】
さらに、本発明は、サーバの負荷量の大きさに応じて、リモートユーザのトラヒックに規制をかけ、サーバが受信するリクエスト数を減らし、サーバの過負荷状態を回避し、システムダウンを回避するネットワーク制御システムの提供を目的としている。
【課題を解決するための手段】
【００１１】
本発明は、１つ以上の外部装置と直接、または、ネットワークを介して接続され、前記外部装置と被評価装置との間の通信を制御する１つ以上の被管理装置と、前記被管理装置を介して前記外部装置と通信し、該通信状況または通信障害発生状況を含むイベント通知を送出する被評価装置と、前記イベント通知を受信するネットワーク管理装置とから構成されるネットワーク制御システムである。
【００１２】
ここで、当該システムの特徴とするところは、前記ネットワーク管理装置は、受信した前記イベント通知に基づき当該イベントの種別を分類し、分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、該計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該イベントに関する情報を生成し、生成された前記イベントに関する情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するところにある。
【００１３】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行うことができる。また、前記被評価装置は、前記通信状況または通信障害発生状況を含むログまたはトラヒックの異常あるいは侵入攻撃を検知してその検知結果を含むアラートを生成することができる。前記イベント通知は、生成された前記ログまたは前記アラートを含むことができる。
【００１４】
当該システム構成により、一つの被評価装置を用いた簡単な構成によりアラートまたはログに基づく的確な制御実行命令を短時間に生成することができる。したがって、Ｗｅｂサーバ、ＩＤＳなどの被評価装置から得られる情報の重要度を自動的に識別し、その重要度に応じたネットワーク制御を自動的に行うことにより、サーバの緊急事態における迅速な対応とネットワーク管理の運用コスト削減（サーバの効率的運用によるコスト削減および人件費の削減）を実現することができる。
【００１５】
あるいは、本発明は、１つ以上の外部装置と直接、または、ネットワークを介して接続され、前記外部装置と第一または第二の被評価装置との間の通信を制御する１つ以上の被管理装置と、前記被管理装置を介して前記外部装置と通信し、該通信状況または通信障害発生状況を含むイベント通知を送出する第一の被評価装置と、前記被管理装置を介して前記外部装置と通信し、前記外部装置に関わる負荷量の情報を送出する第二の被評価装置と、前記イベント通知または前記負荷量の情報を受信するネットワーク管理装置とから構成されるネットワーク制御システムとすることも可能である。
【００１６】
ここで、当該システムの特徴とするところは、前記ネットワーク管理装置は、受信した前記イベント通知に基づき当該イベントの種別を分類し、分類されたイベントの種別毎に単位時間当たりのイベント通知数を計数し、該計数結果がイベントの種別毎にそれぞれ定められた閾値を越えたときには当該イベントに関する情報を生成し、生成された前記イベントに関する情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出する、または、受信した前記負荷量の情報に基づき該負荷量が閾値を越えたときには該負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するところにある。
【００１７】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行うことができる。また、前記第一の被評価装置は、前記通信状況または通信障害発生状況を含むログまたはトラヒックの異常あるいは侵入攻撃を検知してその検知結果を含むアラートを生成する。前記イベント通知は、生成された前記ログまたは前記アラートを含むことができる。さらに、前記第二の被評価装置は、前記外部装置に関わる通信処理またはデータ演算処理を行う計算処理部を備え、前記負荷量の情報は、該計算処理部における負荷量の情報を含むことができる。
【００１８】
例えば、前記イベントに関する情報が生成され、なおかつ、負荷量が閾値を越えたという条件が満たされたときに、前記イベントに関する情報に基づき予め定められた制御実行命令または前記負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するようにすることができる。
【００１９】
当該システム構成によれば、アラートおよび負荷量の情報の双方に基づき制御実行命令を生成することができるため、的確な制御実行命令を短時間に生成することができる。例えば、万が一、第一の被評価装置の判定が誤っていた場合には、第二の被評価装置であるサーバが過負荷でなく正常に動作していても、誤って正常ユーザのトラヒックを規制、または廃棄してしまう可能性があるが、これによれば、ネットワーク管理装置は、第一の被評価装置の誤判定を第二の被評価装置の負荷量の検知結果から認識することができるようになり、第一の被評価装置の誤判定の影響を除去し、不正トラヒックだけを優先的に廃棄することが可能となる（論理積（ＡＮＤ）的利用形態）。
【００２０】
また、第一の被評価装置の判定結果または第二の被評価装置の負荷量の検知結果のいずれか一方でも異常を示した場合に制御実行命令を生成するようにすれば、異常の発生を多方面から監視することができるため、異常を見逃してしまう事態を回避することができる（論理和（ＯＲ）的利用形態）。
【００２１】
したがって、Ｗｅｂサーバ、ＩＤＳなどの被評価装置から得られる情報の重要度を自動的に識別し、その重要度に応じたネットワーク制御を自動的に行うことにより、サーバの緊急事態における迅速な対応とネットワーク管理の運用コスト削減を実現することができると共に、サーバが過負荷に陥ったときに、不正リモートユーザのトラヒックを優先的に規制することによりサーバ運用を安定させることができる。さらに、サーバの負荷量の大きさに応じて、リモートユーザのトラヒックに規制をかけ、サーバが受信するリクエスト数を減らし、サーバの過負荷状態を回避し、システムダウンを回避することができる。
【００２２】
また、前記ネットワーク管理装置は、前記制御実行命令の生成に際し、当該制御実行命令を生成する基となった前記イベントに関する情報に含まれる不正ユーザに関する情報を制御実行命令の一部に書き込み、前記被管理装置は、前記ネットワーク管理装置から受け取った前記制御実行命令に含まれる前記不正ユーザに関する情報に基づき不正ユーザのトラヒックを特定することができる。
【００２３】
すなわち、不正ユーザの個別ＩＤであるＩＰアドレス、送信元電話番号等は、イベント（ログ、アラート）にしか格納されていない。よって、イベントに格納されている不正ユーザに関する情報を抽出して制御実行命令に書き込み、被管理装置に送出することにより、被管理装置では、不正ユーザのトラヒックを特定することができる。これにより被管理装置は、当該不正ユーザのトラヒックに対し、制御実行命令により指示された処置を集中的に効率良く実行することができる。
【００２４】
あるいは、本発明は、１つ以上の外部装置と直接、または、ネットワークを介して接続され、前記外部装置と被評価装置との間の通信を制御する１つ以上の被管理装置と、前記被管理装置を介して前記外部装置と通信し、前記外部装置に関わる負荷量の情報を送出する被評価装置と、前記負荷量の情報を受信するネットワーク管理装置とから構成されるネットワーク制御システムとすることも可能である。
【００２５】
ここで、当該システムの特徴とするところは、前記ネットワーク管理装置は、受信した前記負荷量の情報に基づき該負荷量が閾値を越えたときには該負荷量の情報に基づき予め定められた制御実行命令を生成して前記被管理装置に送出するところにある。
【００２６】
前記被管理装置は、外部からの制御実行命令によりトラヒック規制の変更を行うことができる。また、前記被評価装置は、前記外部装置に関わる通信処理またはデータ演算処理を行う計算処理部を備え、前記負荷量の情報は、該計算処理部における負荷量の情報を含むことができる。
【００２７】
当該システム構成によれば、負荷量の情報のみに基づいた簡単な構成および制御によって的確な制御実行命令を短時間に生成することができる。したがって、サーバが過負荷に陥ったときに、不正リモートユーザのトラヒックを優先的に規制することによりサーバ運用を安定させることができる。さらに、サーバの負荷量の大きさに応じて、リモートユーザのトラヒックに規制をかけ、サーバが受信するリクエスト数を減らし、サーバの過負荷状態を回避し、システムダウンを回避することができる。
【発明の効果】
【００２８】
本発明のネットワーク制御システムによれば、以下のような効果がある。
（１）Ｗｅｂなどのサーバのログ、ＩＤＳのアラートやログなどのイベントからトラヒック規制をかける必要性がある重要なイベントを自動で判別し、実際にルータなどの被管理装置を制御するまでの時間を短くし、迅速な対応が可能となる。
（２）Ｗｅｂなどのサーバ過負荷時に、高い確率で不正ユーザのトラヒックだけを規制することが可能となり、サーバ運用を安定させることができる。
（３）Ｗｅｂなどのサーバ過負荷時に、全てのユーザのリクエストやトラヒックが無効になることを回避し、一部のユーザのリクエストの処理だけは正常に処理することが可能となり、システムダウンを回避することができる。
【００２９】
また、本発明のネットワーク制御システムによれば、効率的なネットワーク運用を行うことができるため、ネットワーク運用コストを削減することができる。さらに、本発明のネットワーク制御は人手を用いずに全て自動的に行われるため、人件費の削減によってもネットワーク運用コストを削減することができる。
【発明を実施するための最良の形態】
【００３０】
（第一実施形態）
以下に、本発明の第一実施形態について図１および図２を参照して説明する。図１は、本発明の第一実施形態のネットワーク制御システムの構成を示すブロック図である。図２は第一実施形態のネットワーク制御システムの動作を示すフローチャートである。図１において、被評価装置１の第一の形態は、Ｗｅｂサーバ、または、ＦＴＰサーバ、などのサーバであり、リモートの外部装置７との通信状況やサーバの不具合等の情報をログとして生成する。被評価装置１の第二の形態は、侵入検知システム（ＩＤＳ）であり、リモートの外部装置７から送られてくるトラヒックの異常性や侵入攻撃を検知し、検知結果（アラート）を生成する。被評価装置１は、これらのログやアラートをイベントとしてネットワーク管理装置２に通知する。また、侵入検知システムとしてはＩＤＳの代わりに、アンチウィルスシステム、スパムフィルタなどを用いることができるが、本実施形態の説明では、これらを代表してＩＤＳと呼ぶことにする。
【００３１】
イベント通知には、例えば、被評価装置１の第一の形態では、サーバの状態や処理内容を示す「システムがリブートしたことを現す情報」や、「通信するリモートの外部装置数の増加を示す情報」や、「リモートの外部装置が重要なデータにアクセスしたことを示す情報」や、「サーバの正常性が保たれている情報」などが格納される。
【００３２】
また、被評価装置１の第二の形態では、イベント通知に、「深刻な侵入攻撃が行われたことを示す情報」や、「無意味なアクセスが行われたことを示す情報」などが格納される。これらのイベントの重要度は、数値を用いて表現されたり、「緊急」、「やや緊急」、「注意」などの言葉を用いて表現されたりする。
【００３３】
ネットワーク管理装置２は、イベント評価部３、イベント計数部４−１〜４−Ｎ、イベント処理部５から構成される。イベント評価部３は、被評価装置１からイベント通知を受信すると、イベントに格納された重要度を示す情報を基にイベント種別に分類し、イベント種別毎に用意したイベント計数部４−１〜４−Ｎにそのイベント通知を転送する。
【００３４】
イベント計数部４−１〜４−Ｎの最も基本的な動作では、イベント計数部４−１〜４−Ｎは単位時間当たりのイベント数を計数し、予め用意した閾値を超えた場合にイベント情報をイベント処理部５に伝送する。
【００３５】
単位時間当たりのイベント数を計数するときに用いる計数法は、非特許文献２に記載のトークンバケット方式、リーキーバケット方式などが利用される。
【００３６】
イベント処理部５では、イベント計数部４−１〜４−Ｎよりイベント情報を受信すると、予め用意したそのイベントに対応する制御実行命令を被管理装置であるネットワーク装置６に送信する。
【００３７】
また、ネットワーク管理装置２は、前記制御実行命令の生成に際し、当該制御実行命令を生成する基となった前記イベントに関する情報に含まれる不正ユーザに関する情報を制御実行命令の一部に書き込む手段をイベント処理部５に備え、ネットワーク装置６は、ネットワーク管理装置２から受け取った前記制御実行命令に含まれる前記不正ユーザに関する情報に基づき不正ユーザのトラヒックを特定する手段を備える。
【００３８】
すなわち、不正ユーザの個別ＩＤであるＩＰアドレス、送信元電話番号等は、イベント（ログ、アラート）にしか格納されていない。よって、ネットワーク管理装置２のイベント処理部５は、イベントに格納されている不正ユーザに関する情報を抽出して制御実行命令に書き込み、ネットワーク装置６に送出することにより、ネットワーク装置６では、不正ユーザのトラヒックを特定することができる。これによりネットワーク装置６は、当該不正ユーザのトラヒックに対し、制御実行命令により指示された処置を集中的に効率良く実行することができる。
【００３９】
被管理装置は、ルータ、スイッチ、ファイヤウォール、負荷分散装置などのネットワーク装置６であり、外部装置７と被評価装置１との間の通信における通信制御手段としてトラヒック規制を行う。制御実行命令としては特定のトラヒックの廃棄（規制）や、優先度の変更や、その解除等が含まれる。
【００４０】
図１には、１台の外部装置７とこれに対応するネットワーク装置６とを図示したが、実際には、複数の外部装置７とこれに対応する複数のネットワーク装置６とが設置されており、特定のトラヒックの廃棄（規制）や、優先度の変更や、その解除等に応じて適宜、必要となる箇所に配置されたネットワーク装置６に対してのみ制御実行命令が下され、トラヒックの制御が不必要な箇所に配置されたネットワーク装置６に対しては制御実行命令は下されない。また、被評価装置１も１台とは限らない。複数の被評価装置１を複数の要所に配置することによって、トラヒックの監視精度を高めることができる。
【００４１】
このような本実施形態のネットワーク制御システムを用いることにより、被評価装置１からのログやアラートなどのイベントからトラヒック規制をかける必要性がある重要なイベントを自動で判別し、実際にルータなどの被管理装置を制御するまでの時間を短くし、迅速な対応が可能となる。
【００４２】
上に説明した動作で、イベント計数部４−１〜４−Ｎは、重要度の高いアラートやログに対しては小さな閾値を設定し、重要度の低いアラートやログに対しては大きな閾値を設定する。これにより、重要アラートやログは僅かな回数が発生しただけで直ちに情報がイベント処理部５に送られ、異常の原因となるトラヒックを規制できる。
【００４３】
これにより、従来技術の問題である人手によるイベント分類と解析の必要がなく、重要な攻撃や侵入に対し従来技術よりも迅速に自動的なトラヒック規制を実現でき、運用コスト低減が可能となる。また、被評価装置１がＩＤＳの形態では、閾値を設定することによりＩＤＳが稀に誤判定をしても、僅かな回数の誤判定ではイベント処理部５への情報転送がないため、トラヒックの規制は行われず、ＩＤＳの誤判定の影響を軽減できるという利点も生じる。
【００４４】
イベント計数部４−１〜４−Ｎの動作としては、特に重要度の高いイベント通知であれば受信する全ての通知に対して情報をイベント処理部５へ送ってもよい。逆に、重要度が低ければ受信したイベント通知の内、無作為に選んだ一つに対してイベント処理部５へ情報転送してもよい。
【００４５】
さらに、受信した複数のイベントに含まれる情報を処理して、これらのイベントの傾向や性質を示す要約情報（メタデータ）を作り、これをイベント情報としてイベント処理部５へ転送することもできる。これにより高度なログ／アラートの分析を自動的に行うトラヒック規制が可能となる。また、イベント計数部４−１〜４−Ｎからイベント処理部５へイベント情報を転送したときに、そのイベント計数部４−１〜４−Ｎの計数値を零にリセットし、イベント評価部３より受信する次のイベントから計数値を１として計数し直してもよい。
【００４６】
さらに、計数した単位時間当たりのイベント数が、閾値より小さい場合には、直前に実行した処理を取り消す「取消イベント情報」をイベント処理部５に転送することもできる。これにより状態が正常に戻ればトラヒック規制を解除することが可能となる。
【００４７】
イベント処理部５では、被管理装置であるネットワーク装置６に制御実行命令を送信したことを記憶しておく機能を持たせることができる。また、イベント計数部４−１〜４−Ｎより取消イベント情報を受信したとき、それ以前に対応するイベントの制御実行命令を送信していた場合には、イベント処理部５より対応する制御取消命令を送信してもよい。前述のように、これによって自動的に規制の解除ができ、運用コストの低減ができる。
【００４８】
イベント処理部５では、イベント計数部４−１〜４−Ｎより受信するイベントに対応する制御実行命令、および制御取消命令を格納する記憶装置であるデータベースを持ち、別途外部からの処理によりデータベースの内容を動的に変えるようにしてもよい。
【００４９】
これによって、極めて広範なログやアラート、制御実行命令に対応できるので、自動的なトラヒック制御の範囲が広がり、さらに運用コストも低減できる。
【００５０】
以上説明した第一実施形態におけるネットワーク制御システムの動作を図２にフローチャートで示す。ＩＤＳまたはサーバである被評価装置１からイベント通知を受信すると（Ｓ１）、イベント評価部３は、そのイベント種別を分類し（Ｓ２）、イベント計数部４−１〜４−Ｎの該当するいずれかにそのイベント通知を入力する。イベント計数部４−１〜４−Ｎは、イベント評価部３からイベント通知を受け取ると、その種別毎に単位時間当たりのイベント通知数を計数する（Ｓ３）。イベント計数部４−１〜４−Ｎのいずれかにおいて、閾値を越えたイベント通知数が有る場合には（Ｓ４）、そのイベント計数部４−ｉ（ｉは１〜Ｎのいずれか）は、閾値を越えたイベントに関する情報を生成し（Ｓ５）、この情報をイベント処理部５に転送する。イベント処理部５では、当該情報に基づき予め定められた制御実行命令を生成してネットワーク装置６に送出する（Ｓ６）。
【００５１】
また、イベント処理部５は、制御実行命令の生成に際し、当該制御実行命令を生成する基となった前記イベントに関する情報に含まれる不正ユーザに関する情報を制御実行命令の一部に書き込む。これにより、ネットワーク装置６は、ネットワーク管理装置２から受け取った前記制御実行命令に含まれる前記不正ユーザに関する情報に基づき不正ユーザのトラヒックを特定し、この特定されたトラヒックに対して制御実行命令により指示された処置を実行することができる。
【００５２】
（第二実施形態）
以下に、本発明の第二実施形態について図３および図４を参照して説明する。図３は、本発明の第二実施形態のネットワーク制御システムの構成を示すブロック図である。図４は第二実施形態のネットワーク制御システムの動作を示すフローチャートである。
【００５３】
図３において、被評価装置１１は、Ｗｅｂサーバ、または、ＦＴＰサーバ、などのサーバであり、リモートの外部装置７との通信状況やサーバの不具合等の情報をログとして生成する。
【００５４】
被評価装置１１のサーバは外部装置７との通信処理を行うと共に、負荷量の状態を自ら監視し、異常があればネットワーク管理装置１２のイベント処理部１５に通知する。被評価装置１０は、侵入検知システム（ＩＤＳ）であり、リモートの外部装置７から送られてくるトラヒックの異常性や侵入攻撃を検知し、検知結果（アラート）を生成する。
【００５５】
被評価装置１１のサーバと外部装置７との間のトラヒックの異常性を検知する場合には、ネットワーク装置６と被評価装置１１との間のトラヒックが、ネットワーク装置６から被評価装置１０のＩＤＳへ複製されて転送されるようにネットワーク装置６を制御する手法を採ることができる。このような制御機能を通常、ミラーポート機能と呼ぶ。
【００５６】
被評価装置１０であるＩＤＳは、アラートをイベント通知としてネットワーク管理装置１２に送信する。第一実施形態と同じく、イベントの重要度は、数値を用いて表現されたり、言葉を用いて表現されたりする。
【００５７】
ネットワーク管理装置１２は、イベント評価部１３、イベント計数部１４−１〜１４−Ｎ、イベント処理部１５から構成される。イベント評価部１３は、被評価装置１０からイベントの発生を通知として検知すると、イベント通知に格納された重要度を示す情報を基に識別し、種別毎に用意したイベント計数部１４−１〜１４−Ｎにそのイベントを転送する。
【００５８】
イベント計数部１４−１〜１４−Ｎでは、単位時間当たりのイベント数を計数し、予め用意した閾値を超えた場合にイベント情報をイベント処理部１５に伝送する。前述したように、単位時間当たりのイベント数を計数するときに用いる計数法は、非特許文献２に記載のトークンバケット方式、リーキーバケット方式などが利用される。
【００５９】
第一実施形態の場合と同じく、イベント計数部１４−１〜１４−Ｎよりイベント情報を受信すると、予め用意したそのイベントに対応する制御実行命令を被管理装置に送信する。被管理装置はルータ、スイッチ、ファイヤウォール、負荷分散装置などのネットワーク装置６である。
【００６０】
制御実行命令としては特定のトラヒックの廃棄（規制）や、優先度の変更や、その解除等が含まれる。本実施形態では、これに加えて、イベント処理部１５は、定期的に被評価装置１１であるサーバの計算処理部１６からその負荷量の情報も受信する。イベント処理部１５は、もし被評価装置１１であるサーバの負荷量が過剰なものであれば制御実行命令としては特定のトラヒックの廃棄（規制）や、優先度の変更を行う。
【００６１】
これによって、被評価装置１０であるＩＤＳからのアラートなどのイベントからトラヒック規制をかける必要性がある重要なイベントを自動で判別し、実際にルータなどの被管理装置を制御するまでの時間を短くし、迅速な対応が可能となると共に、被評価装置１１であるサーバ過負荷時に、高い確率で不正ユーザのトラヒックだけを規制することが可能となり、サーバ運用を安定させることができる。さらに、サーバ過負荷時に、全てのユーザのリクエストやトラヒックが無効になることを回避し、一部のユーザのリクエストの処理だけは正常に処理することが可能となり、システムダウンを回避することができる。
【００６２】
第二実施形態においても第一実施形態と同じく、イベント計数部１４−１〜１４−Ｎの動作としては、受信する全てのイベント通知毎に情報をイベント処理部１５へ送ってもよい。受信したイベント通知の内、無作為に選んだ一つに対してイベント情報をイベント処理部１５へ転送してもよい。
【００６３】
さらに、受信した複数のイベントに含まれる情報を処理して、これらのイベントの傾向や性質を示す要約情報（メタデータ）を作り、これをイベント情報としてイベント処理部１５へ転送することもできる。
【００６４】
また、イベント計数部１４−１〜１４−Ｎからイベント処理部１５へイベント情報を転送したときに、そのイベント計数部１４−１〜１４−Ｎの計数値を零にリセットし、イベント処理部１５より受信する次のイベントから計数値を１として計数し直してもかまわない。さらに、計数した単位時間当たりのイベント数が、閾値より小さい場合には、直前に実行した処理を取り消す「取消イベント情報」をイベント処理部１５に転送することもできる。
【００６５】
イベント処理部１５では、被管理装置に制御実行命令を送信したことを記憶しておく機能を持たせることができる。また、イベント計数部１４−１〜１４−Ｎより取消イベント情報を受信したとき、それ以前に対応するイベントの制御実行命令を送信していた場合には、イベント処理部１５より対応する制御取消命令を送信してもよい。
【００６６】
イベント処理部１５では、イベント計数部１４−１〜１４−Ｎより受信するイベントに対応する制御実行命令、および制御取消命令を格納する記憶装置であるデータベースを持ち、別途外部からの処理によりデータベースの内容を動的に変えるようにしてもよい。
【００６７】
以上説明した第二実施形態におけるネットワーク制御システムの動作を図４のフローチャートに示す。イベント評価部１３は、被評価装置１０であるＩＤＳからイベント通知（アラート）を受信すると（Ｓ１０）、そのイベント種別を分類し（Ｓ１１）、イベント計数部１４−１〜１４−Ｎに転送する。
【００６８】
イベント計数部１４−１〜１４−Ｎは、イベント評価部１３から転送されたイベントについて、その種別毎に単位時間当たりのイベント通知数を計数する（Ｓ１２）。閾値を越えたイベント通知数が有れば（Ｓ１３）、閾値を越えたイベントに関する情報を生成し（Ｓ１４）、当該情報をイベント処理部１５に通知する。
【００６９】
イベント処理部１５は、イベント計数部１４−ｉから通知された情報に基づき予め定められた制御実行命令を生成してネットワーク装置６に送出する（Ｓ１５）。
【００７０】
また、イベント処理部１５は、制御実行命令の生成に際し、当該制御実行命令を生成する基となった前記イベントに関する情報に含まれる不正ユーザに関する情報を制御実行命令の一部に書き込む。これにより、ネットワーク装置６は、ネットワーク管理装置１２から受け取った前記制御実行命令に含まれる前記不正ユーザに関する情報に基づき不正ユーザのトラヒックを特定し、この特定されたトラヒックに対して制御実行命令により指示された処置を実行することができる。
【００７１】
この処理と並行して被評価装置１１であるサーバの計算処理部１６は、自己の負荷量を監視し（Ｓ１６）、その負荷量が閾値を越えると（Ｓ１７）、負荷量が閾値を越えた旨の情報を生成し（Ｓ１８）、当該情報をイベント処理部１５に送出する。
【００７２】
イベント処理部１５は、被評価装置１１であるサーバの負荷量が閾値を越えた旨の情報を受け取ると当該情報に基づき予め定められた制御実行命令をネットワーク装置６に送出する（Ｓ１５）。
【００７３】
図４におけるステップＳ１５の処理は、ステップＳ１０〜Ｓ１４のフローおよびステップＳ１６〜Ｓ１８のフローの双方に対して共通に設けられ、Ｓ１４またはＳ１８のいずれか一方のステップにおける処理が完了したときに随時実行されるようにしてもよいし（論理和的フロー）、あるいは、ステップＳ１５の処理として、イベント処理部１５は、イベント計数部１４−ｉによりイベントに関する情報が生成され、なおかつ、イベント処理部１５が被評価装置１１の計算処理部１６から受信した負荷量の情報に基づき負荷量が閾値を越えたという条件が満たされたときに、イベント計数部１４−ｉにより生成されたイベントに関する情報に基づき予め定められた制御実行命令または被評価装置１１の計算処理部１６から受信した負荷量の情報に基づき予め定められた制御実行命令を生成してネットワーク装置６に送出する手段を備えてもよい（論理積的フロー）。
【００７４】
これにより、アラートおよび負荷量の情報の双方に基づき制御実行命令を生成することができるため、的確な制御実行命令を短時間に生成することができる。例えば、後者（論理和的フロー）の場合には、万が一、被評価装置１０の判定が誤っていた場合には、被評価装置１１であるサーバが過負荷でなく正常に動作していても、誤って正常ユーザのトラヒックを規制、または廃棄してしまう可能性があるが、後者（論理積的フロー）によれば、ネットワーク管理装置１２は、被評価装置１０の誤判定を被評価装置１１の負荷量の検知結果から認識することができるようになり、被評価装置１０の誤判定の影響を除去し、不正トラヒックだけを優先的に廃棄することが可能となる。
【００７５】
また、後者（論理和的フロー）によれば、被評価装置１０の判定結果または被評価装置１１の負荷量の検知結果のいずれか一方でも異常を示した場合に制御実行命令を生成するので、異常の発生を多方面から監視することができるため、異常を見逃してしまう事態を回避することができる。
【００７６】
ネットワーク環境に応じて、これらの利用形態を適応的に選択することができる。
【００７７】
（第三実施形態）
以下に、本発明の第三実施形態について図５および図６を参照して説明する。図５は、本発明の第三実施形態のネットワーク制御システムの構成を示すブロック図である。図６は本発明の第三実施形態のネットワーク制御システムの動作を示すフローチャートである。図５において、被評価装置１１は、Ｗｅｂサーバ、またはＦＴＰサーバ、などのサーバであり、外部装置７との通信処理や、データ処理等の演算処理を行う計算処理部１６を持つと共に、自らの負荷量の状態を監視し、負荷量をネットワーク管理装置２２に通知することができる。
【００７８】
ネットワーク管理装置２２は、イベント処理部２５から構成される。イベント処理部２５では、定期的に被評価装置１１であるサーバの計算処理部１６から計算処理部１６の負荷量の情報を受信する。第三実施形態では、計算処理部１６の負荷量の大きさが予め設けた閾値を超えた場合に、被評価装置１１の計算処理部１６がネットワーク管理装置２２のイベント処理部２５にその情報を伝送する。イベント処理部２５は、計算処理部１６の負荷量の大きさが予め用意した閾値を超えた場合に、前記閾値に対応する制御実行命令を被管理装置であるネットワーク装置６に送信する。
【００７９】
これによって、被評価装置１１であるサーバ過負荷時に、高い確率で不正ユーザのトラヒックだけを規制することが可能となり、サーバ運用を安定させることができる。さらに、サーバ過負荷時に、全てのユーザのリクエストやトラヒックが無効になることを回避し、一部のユーザのリクエストの処理だけは正常に処理することが可能となり、システムダウンを回避することができる。
【００８０】
イベント処理部２５では、ネットワーク装置６に制御実行命令を送信したことを記憶しておく機能を持たせてもよい。また、計算処理部１６の負荷量の大きさが、閾値より小さい場合には、それ以前に送出した制御実行命令を取り消す命令をネットワーク装置６に送信してもよい。
【００８１】
以上説明した第三の実施形態におけるネットワーク制御システムの動作を図６のフローチャートに示す。被評価装置１１であるサーバの計算処理部１６は、自己の負荷量を監視し（Ｓ２０）、その負荷量が閾値を越えると（Ｓ２１）、負荷量が閾値を越えた旨の情報を生成し（Ｓ２２）、当該情報をイベント処理部２５に送出する。
【００８２】
イベント処理部２５は、被評価装置１１であるサーバの負荷量が閾値を越えた旨の情報を受け取ると当該情報に基づき予め定められた制御実行命令をネットワーク装置６に送出する（Ｓ２３）。
【００８３】
（第四実施形態）
本実施例は、汎用の情報処理装置にインストールすることにより、その情報処理装置に第一〜第三実施形態のネットワーク管理装置２、１２、２２に相応する機能を実現させ、本発明のネットワーク制御方法に相応する手順を実行させるプログラムとして実現することができる。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、第一〜第三実施形態のネットワーク管理装置２、１２、２２に相応する機能を実現させることができる。
【産業上の利用可能性】
【００８４】
本発明のネットワーク制御システムによれば、トラヒック規制が必要な状況が発生してから実際にトラヒック規制が行われるまでの時間を短くし、迅速な対応が可能となる。また、高い確率で不正ユーザのトラヒックだけを規制することが可能となり、サーバ運用を安定させることができる。また、全てのユーザのリクエストやトラヒックが無効になることを回避し、一部のユーザのリクエストの処理だけは正常に処理することが可能となり、システムダウンを回避することができる。
【００８５】
これにより、ネットワーク管理者の利便性を向上させることができると共に、ネットワークユーザに対するサービス品質を向上させることができる。
【図面の簡単な説明】
【００８６】
【図１】本発明の第一実施形態のネットワーク制御システムの構成図。
【図２】本発明の第一実施例のネットワーク制御システムの動作を示すフローチャート。
【図３】本発明の第二実施形態のネットワーク制御システムの構成図。
【図４】本発明の第二実施形態のネットワーク制御システムの動作を示すフローチャート。
【図５】本発明の第三実施形態のネットワーク制御システムの構成図。
【図６】本発明の第三実施形態のネットワーク制御システムの動作を示すフローチャート。
【符号の説明】
【００８７】
１、１０、１１  被評価装置
２、１２、２２  ネットワーク管理装置
３、１３  イベント評価部
４−１〜４−Ｎ、１４−１〜１４−Ｎ  イベント計数部
５、１５、２５  イベント処理部
６  ネットワーク装置
７  外部装置
１６  計算処理部
【図１】
2006237842.tif 000003
【図２】
2006237842.tif 000004
【図３】
2006237842.tif 000005
【図４】
2006237842.tif 000006
【図５】
2006237842.tif 000007
【図６】
2006237842.tif 000008